Advies nr. 07/2021 van 5 februari 2021 Betreft: advies m.b.t. artikel 63 van het voorontwerp van wet (CO-A-2021-013)

Advies nr. 07/2021 van 5 februari 2021

Betreft: advies m.b.t. artikel 63 van het voorontwerp van wet houdende maatregelen ter beheersing van een gezondheidscrisis in het domein van de volksgezondheid (CO-A-2021- 013)

De Gegevensbeschermingsautoriteit (hierna de “Autoriteit”);

Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, inzonderheid op artikelen 23 en 26 (hierna “WOG”);

Gelet op deVerordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (hierna “AVG”);

Gelet op de wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens (hierna “WVG”);

Gelet op het verzoek om advies bij hoogdringendheid van de heer Frank Vandenbroecke, vice-eerste minister en minister van Volksgezondheid en Sociale Zaken, ontvangen op 21/01/2021;

Gelet op het verslag van mevrouw Alexandra Jaspar, Directeur van het Kenniscentrum van de Gegevensbeschermingsautoriteit ;

Brengt op 5 februari 2021 het volgend advies uit:

. . . . . .

I. VOORWERP VAN DE AANVRAAG

1. De minister van Volksgezondheid wint bij hoogdringendheid het advies van de Autoriteit in over artikel 63 van het voorontwerp van wet houdende maatregelen ter beheersing van een gezondheidscrisis in het domein van de volksgezondheid¹(hierna artikel 63). Dit artikel maakt deel uit van Titel XIII. Tijdelijke maatregelen met betrekking tot de geneesmiddelenbewaking en traceerbaarheid van COVID-19-vaccins.

2. Met het oog daarop bepaalt artikel 63:

“Het FAGG verzekert de geneesmiddelenbewaking van de vaccins tegen COVID-19 in het kader van zijn geneesmiddelenbewakingssysteem zoals bedoeld in artikel 12sexies van de wet van 25 maart 1964 op de geneesmiddelen.

Het FAGG kan de gegevens met betrekking tot de vaccinaties tegen COVID-19 die in het VACCINNET+ systeem zijn opgenomen, integreren in zijn systeem voor geneesmiddelenbewaking.

Met het oog op de risicobeoordeling van de langetermijneffecten van de in het eerste lid bedoelde geneesmiddelen, is het FAGG gemachtigd om de gepseudonimiseerde persoonsgegevens te verwerken gedurende een termijn van 30 jaar”.

II. ONDERZOEK VAN DE AANVRAAG a) Voorafgaande opmerking

3. Artikel 11² van de wet van 22 december 2020 houdende diverse maatregelen met betrekking tot snelle antigeentesten en de registratie en verwerking van gegevens betreffende vaccinaties in het kader van de strijd tegen de COVID-19-pandemie, bepaalt: "De arts of verpleegkundige die een vaccin tegen COVID-19 toedient of onder wiens toezicht de vaccinatie gebeurt, registreert elke vaccinatie in de databank die door de Interministeriële Conferentie Volksgezondheid wordt aangeduid. De Koning bepaalt, bij een besluit overlegd in de Ministerraad, de nadere modaliteiten van deze registratie en omschrijft minstens de doeleinden van de gegevensverwerking, de categorieën van personen waarover gegevens worden verwerkt, de categorieën gegevens die worden verwerkt, de

1 De Autoriteit stelt vast dat het voorontwerp van wet, waarvan artikel 63 deel uitmaakt, reeds integraal ter beschikking werd gesteld van de Europese Commissie, terwijl het Belgisch Parlement niet eens gevat is. Zie:

https://ec.europa.eu/growth/tools-

databases/tris/fr/index.cfm/search/?trisaction=search.detail&year=2021&num=41&mLang=fr&CFID=760513&CFTOKEN=4cc 5e052b6286e74-DB0838F7-AF31-EF95-0879244123806090.

2 Dit artikel werd niet voor advies voorgelegd aan de Autoriteit.

verantwoordelijken voor de gegevensverwerking en de bewaartermijn van de gegevens."

4. Dit artikel werd uitgevoerd door het koninklijk besluit van 24 december 2020 betreffende de registratie en de verwerking van gegevens met betrekking tot vaccinaties tegen COVID-19³. Artikel 4 van dit koninklijk besluit, dat de doeleinden van verwerking van de persoonsgegevens m.b.t. de vaccinaties tegen COVID-19 opsomt, omschrijft in het 2° een van de finaliteiten als volgt:

de geneesmiddelenbewaking van de vaccins tegen COVID-19, overeenkomstig artikel 12sexies van de wet van 25 maart 1964 op de geneesmiddelen en de gedetailleerde richtsnoeren bekendgemaakt door de Europese Commissie in de "Module VI -Verzameling, beheer en indiening van meldingen van vermoedelijke bijwerkingen van geneesmiddelen (GVP)", zoals ze voorkomen in de laatst beschikbare versie, en zoals bedoeld in artikel 4, paragraaf 1, 3e lid, 3°, van de wet van 20 juli 2006 betreffende de oprichting en de werking van het Federaal Agentschap voor Geneesmiddelen en Gezondheidsproducten. Tot de informatie die daartoe in de vaccinatiedatabank worden geregistreerd behoren de gegevens over de ongewenste bijwerkingen van de vaccinatie, waarvan de persoon die het vaccin heeft toegediend of diens gevolmachtigde kennis heeft of moet hebben (artikel 3, 6°, van het koninklijk besluit van 24 december 2020).

5. Ondervraagd over de noodzakelijkheid van artikel 63 in het licht van artikel 11 van de wet van 22 december 2020 en het bepaalde in het koninklijk besluit van 24 december 2020, antwoorde de steller van artikel 63 dat de artikelen 3, 16° en 4 van het koninklijk besluit van 24 december 2020 genomen zijn in uitvoering van artikel 63.

6. De Autoriteit neemt hiervan akte. Zij kan niet anders dan vaststellen dat de gevolgde werkwijze vraagtekens doet rijzen. Immers, in het adviesaanvraagformulier dat het ontwerp van het uiteindelijke koninklijk besluit van 24 december 2020 vergezelde, werd verwezen naar de wettelijke verplichting om elke vaccinatie tegen COVID-19 te registreren, in afwachting dat het vereiste samenwerkingsakkoord wordt gesloten. Deze wettelijke verplichting zit vervat in artikel 11 van de wet van 22 december 2020 samen met een blanco cheque aan de Koning om deze verplichting verder te omkaderen. Op basis hiervan verkeerde de Autoriteit in de overtuiging dat dit artikel 11 de dubieuze wettelijke basis vormde van het koninklijk besluit van 24 december 2020. Op basis van de toelichting van de steller van artikel 63, blijkt dat dit kennelijk niet voor alle artikelen van voornoemd koninklijk besluit het geval is, wat er op neerkomt dat momenteel de registratie van sommige gegevens over de gezondheid (bijwerkingen) in de vaccinatiedatabank geschiedt zonder de vereiste wettelijke basis.

7. De Autoriteit kan niet anders dan vaststellen dat het door elkaar lopen van verschillende regelgevende initiatieven, die niet altijd goed op elkaar zijn afgestemd, de AVG-conforme verwerking

3 Zie advies van de Autoriteit nr. 138/2020 van 18 december 2020.

van de persoonsgegevens van de burger hypothekeert.

8. Het koninklijk besluit van 24 december 2020 houdt op uitwerking te hebben op de dag waarop een Samenwerkingsakkoord tussen de Federale Staat, de Vlaamse Gemeenschap, de Franse Gemeenschap, de Duitstalige Gemeenschap, de Gemeenschappelijke Gemeenschapscommissie, het Waalse Gewest en de Franse Gemeenschapscommissie betreffende de registratie en de verwerking van gegevens met betrekking tot vaccinaties tegen COVID-19, in werking treedt (artikel 9).

9. Wat dit voor artikel 63 zal betekenen is niet duidelijk. Op dit ogenblik heeft de steller ervan, er geen zicht op of op basis van dit artikel een nieuw koninklijk besluit zal uitgevaardigd worden dan wel of er een link zal zijn met de bepalingen van het samenwerkingsakkoord.

10. De Autoriteit stelt vast dat er nood is aan een duidelijk, volledig en transparant regelgevend kader m.b.t. de coronapandemie. Momenteel ontbreekt dit met alle gevolgen vandien voor een transparante, doelgebonden en proportionele verwerking van bijzondere categorieën persoonsgegevens, namelijk gegevens over gezondheid. Zij dringt er dan ook op aan op federale en regionale regelgeving die op elkaar is afgestemd en waarin:

 de registratie van de gevaccineerde personen op wettelijk niveau transparant wordt geregeld wat betekent: duidelijke vermelding van het of de doeleinde(n); de gegevenscategorieën, wie toegang heeft tot sommige van deze gegevens en voor welk doeleinde;

 indien de gegevens gebruikt worden voor datamining dan moet op wettelijk niveau worden vastgesteld waarvoor en voor wie dat dit dan wel gebeurt, het is niet aan het Informatieveiligheidscomité om daarover te beslissen;

 ervoor wordt gezorgd dat de samenwerkingsakkoorden m.b.t de contactopsporing alle aanpassingen die ondertussen op het terrein zijn gebeurd, correct weerspiegelen

De aandachtspunten waarmee bij de redactie moet rekening worden gehouden blijken ten overvloede uit de kritische adviezen die de Autoriteit reeds uitbracht. Ter illustratie kan o.a. verwezen worden naar de adviezen nrs 138/2020, 96/2020, 79/2020, 64/2020, 46/2020, 43/2020.

b) De beoogde gegevensverwerking

11. De steller van artikel 63 heeft mondeling verduidelijkt dat het Federaal Agentschap voor Geneesmiddelen en Gezondheidsproducten, hierna FAGG, een apart formulier heeft ontwikkeld aan de hand waarvan bijwerkingen van de COVID-19 vaccins kunnen gemeld worden, hetzij door een gezondheidszorgbeoefenaar, hetzij door de betrokkene zelf. Het is de bedoeling een maximaal aantal velden van dat formulier voor ingevuld worden aan de hand van de gegevens beschikbaar in de

vaccinatiedatabank.

12. Daartoe wordt het Rijksregisternummer⁴ van de persoon die bijwerkingen ondervindt, ingevoerd. Dit nummer wordt onmiddellijk doorgestuurd naar de vaccinatiedatabank. Aan de hand van het Rijksregisternummer stuurt de vaccinatiedatabank een aantal gegevens terug samen met een gepseudonimiseerd nummer. Er wordt dus alleen maar informatie uit de vaccinatiedatabank aan het FAGG verstrekt n.a.v. de concrete aangifte van een bijwerking bij het FAGG (een pull-systeem, geen push-systeem).

13. Het FAGG zal de Rijksregisternummers van de personen die bijwerkingen ondervonden, niet bijhouden. Het gepseudonimiseerd nummer wordt wel opgeslagen. Aan de hand van dit nummer, dat ten behoeve van het FAGG door de vaccinatiedatabank wordt gegenereerd, kan het FAGG meerdere meldingen m.b.t. eenzelfde persoon in kaart brengen en eventuele dubbels (2X dezelfde bijwerking aangeven) identificeren.

14. Nog steeds volgens de steller van artikel 63 zal de vaccinatiedatabank de volgende informatie verstrekken met het oog op het voor invullen van het formulier:

 geboortedatum: deze datum is nodig om de leeftijd van de patiënt te kennen (leeftijd kan van belang zijn voor de evaluatie van de nevenwerking);

 datum van overlijden geslacht (van belang voor evaluatie van nevenwerking);

 type van vaccinator: arts, artsenpraktijk, organisatie (bedrijfsgeneeskunde, ziekenhuis,...):

o voor artsenpraktijk: RIZIV-nummer

o voor artsgroepspraktijk: VACCINNET praktijkcode o voor organisatie: VACCINNET entiteitscode;

 plaats van vaccinatie (in geval van vaccinatiecentrum: HBO code van het vaccinatiecentrum);

 identificatie vaccin (code CNK/ATC);

 naam vaccin;

 lotnummer toegediende vaccin;

 aanduiding 1e of 2e dosis;

 datum van vaccinatie;

 bijkomende info over bijwerking (vrij tekstveld in VACCINNET).

15. Het is in het licht van deze beoogde werkwijze dat artikel 63 zal moeten bekeken worden.

4 Dit vereist dat het FAGG daartoe over een machtiging beschikt om het Rijksregisternummer te gebruiken zoals voorgeschreven door artikel 8 van de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen.

c) Artikel 63

16. Het FAGG is een instelling van openbaar nut met rechtspersoonlijkheid opgericht bij artikel 3 van de wet van 20 juli 2006 betreffende de oprichting en de werking van het Federaal Agentschap voor Geneesmiddelen en Gezondheidsproducten. Artikel 4 van deze wet somt de taken op waarmee het FAGG wordt belast. Zo wordt het uitdrukkelijk belast met de toepassing en de controle van de wet van 25 maart 1964 op de geneesmiddelen, en haar uitvoeringsbesluiten.

17. Artikel 12sexies, § 1, eerste en tweede lid, van de wet van 25 maart 1964 bepalen dat het FAGG een geneesmiddelenbewakingssysteem invoert om informatie over de risico's van geneesmiddelen voor de gezondheid van patiënten en de volksgezondheid te verzamelen.

Die informatie betreft in het bijzonder bijwerkingen bij de mens als gevolg van het gebruik van het geneesmiddel. Dit geneesmiddelenbewakingssysteem moet de registratie, melding en opvolging van alle op het Belgische grondgebied optredende vermoedelijke bijwerkingen die door beroepsbeoefenaren in de gezondheidszorg en patiënten worden gemeld, toelaten (artikel 12sexies,

§ 1, vijfde lid, van de wet van 25 maart 1964).

18. Het is in het kader van dit doeleinde, namelijk informatie verzamelen over de risico’s van geneesmiddelen voor de gezondheid van patiënten en de volksgezondheid (een welbepaald, uitdrukkelijk omschreven en gerechtvaardigd doeleinde in de zin van artikel 5.1.c) AVG) dat artikel 63 zich situeert. Vermits het FAGG krachtens artikel 12sexies, § 1, vijfde lid, van de wet van 25 maart 1964 bevoegd is voor alle op het Belgisch grondgebied optredende vermoedelijke bijwerkingen, is de uitdrukkelijke vermelding in artikel 63, eerste lid, dat het FAGG de geneesmiddelenbewaking van de vaccins tegen COVID-19 verzekert, overbodig.

19. Artikel 63, tweede lid, moet de basis vormen voor de in de punten 11 - 14 omschreven gegevensuitwisseling.

20. Voor alle duidelijkheid wenst de Autoriteit vooraf op te merken dat zij het nut van de voorgestelde werkwijze inziet en er niet principieel tegen gekant is. Een aantal van de gegevens die n.a.v. de vaccinatie in de vaccinatiedatabank worden geregistreerd zijn dezelfde als deze die het FAGG opvraagt n.a.v. de melding van een bijwerking. Door deze gegevens n.a.v. een concrete melding van een bijwerking op te laden uit de vaccinatiedatabank kan de melding snel gebeuren en is het risico op fouten in de melding quasi nihil. Zonder deze werkwijze moet een arts, wanneer hij m.b.t. één van zijn patiënten een melding van een bijwerking doet, het meldingsformulier volledig manueel invullen wat inhoudt dat hij eerst de vaccinatiedatabank moet raadplegen om zich ervan te vergewissen met welk vaccin zijn patiënt werd ingeënt, welk het lotnummer was, wanneer hij ingeënt werd, enz. Dit kost tijd en het risico op fouten bij het overtypen van de informatie uit de vaccinatiedatabank is reëel.

21. Artikel 63, tweede lid, luidt: Het FAGG kan de gegevens met betrekking tot de vaccinaties tegen COVID-19 die in het VACCINNET+ systeem zijn opgenomen, integreren in zijn systeem voor geneesmiddelenbewaking. De Autoriteit stelt vast dat deze tekst te vaag is. Er kan niet uit afgeleid worden wat precies wordt beoogd. Daarenboven kan op basis van deze tekst kan zowel een pull-systeem⁵ als een push-systeem⁶ georganiseerd worden, waarbij dit laatste vanuit perspectief van minimale gegevensverwerking problematisch kan zijn. Hij geeft ook geen enkele indicatie m.b.t. de gegevens die worden opgeladen.

22. De tekst moet dus beter aansluiten op wat concreet wordt beoogd. Deze zou als volgt kunnen luiden: Naar aanleiding van de melding van een bijwerking van een COVID-19 vaccin, worden de gegevens die het FAGG nodig heeft met het oog zijn geneesmiddelenbewakingssysteem geïntegreerd in het meldingsformulier. Het betreft meer in het bijzonder gegevens m.b.t. de patiënt, het vaccin, de vaccinatie, [de vaccinator⁷]. Deze gegevens zullen nader gepreciseerd worden door [de Koning] [in het samenwerkingsakkoord].

23. Louter volledigheidshalve maakt de Autoriteit van de gelegenheid gebruik om de aandacht van de steller van het artikel 63 te vestigen op artikel 5.1.c), AVG krachtens hetwelk persoonsgegevens toereikend, ter zake dienend en beperkt moeten zijn tot wat noodzakelijk is voor de beoogde doeleinden ('minimale gegevensverwerking').

24. Rekening houdend met de lijst van gegevens vermeld in punt 14 merkt de Autoriteit op dat niet blijkt waarom het FAGG behoefte heeft aan de plaats van vaccinatie en informatie m.b.t. de vaccinator De relevantie ervan moet in het licht van het doeleinde “geneesmiddelenbewaking” worden aangetoond.

25. Het FAGG zal de gepseudonimiseerde persoonsgegevens n.a.v. de meldingen van bijwerkingen van de COVID-19 vaccins gedurende 30 jaar verwerken met het oog op de risicobeoordeling van de langetermijneffecten ervan (artikel 63, derde lid). De Guideline on good pharmacovigilance practices⁸ van het Europees Geneesmiddelenbureau (European Medicines Agency) bepaalt: "Pharmacovigilance data and documents relating to individual authorised medicinal products shall be retained by the national competent authorities in Member States and the Agency as long as

5 De punctuele verstrekking van gegevens uit vaccinnet m.b.t. de vaccinatie van een persoon naar aanleiding van de melding van een bijwerking van een COVID-19 vaccin bij een deze persoon.

6 De verstrekking van een pakket gegevens uit een databank los van een concrete vraag.

7 Zie in dit verband de opmerking in punt 24.

8 Licht de wettelijke vereisten toe die vervat in de Richtlijn 2001/83/EG van het Europees Parlement en de Raad van 6 november 2001 tot vaststelling van een communautair wetboek betreffende geneesmiddelen voor menselijk gebruik, en de Verordening (EG) 726/2004 van het Europees Parlement en de Raad van 31 maart 2004 tot vaststelling van communautaire procedures voor het verlenen van vergunningen en het toezicht op geneesmiddelen voor menselijk en diergeneeskundig gebruik en tot oprichting van een Europees Geneesmiddelenbureau.

the product is authorised and for at least 10 years after the marketing authorisation has expired.

However, the documents shall be retained for a longer period where Union law or national law so requires."

26. Momenteel is niet duidelijk hoelang de COVID-19 vaccins zullen vergund worden.

Rekening houdend met deze onzekere factor enerzijds en de vereiste vervat in Guideline on good pharmacovigilance practices, is het aangewezen om de bewaartermijn (want daar gaat het eigenlijk om) van de gepseudonimiseerde gegevens af te bakenen in functie van de 2 hiervoor vermelde elementen. De tekst zou dan als volgt kunnen luiden: "Met het oog op de risicobeoordeling van de langetermijneffecten van de COVID-19 vaccins bewaart het FAGG de gepseudonimiseerde persoonsgegevens m.b.t. de gemelde bijwerkingen van deze vaccins, behoudens andersluidende Europese of wettelijke bepaling, tot 10 jaar nadat de toelating om het product te verkopen is verstreken."

OM DEZE REDENEN, de Autoriteit

is van oordeel dat volgende aanpassingen zich opdringen:

 de formulering van artikel 63, tweede lid, moet nauwer aansluiten bij de verwerking die daadwerkelijk wordt beoogd (combinatie van de punten 11 tot 14 enerzijds en de punten 20 tot 22 anderzijds);

 de formulering van de bewaartermijn in artikel 63, derde lid, moet afgestemd worden op de Guideline van de European Medicines Agency (zie punten 25 en26);

vestigt de aandacht op:

 het overbodig karakter van artikel 63, eerste lid (zie punt 18);

 de noodzaak om de proportionaliteit van alle uit de vaccinatiedatabank verkregen gegevens aan te tonen (zie punt 24);

 belang van een duidelijk, volledig en transparant regelgevend kader m.b.t. de coronapandemie (zie punt 10).

(get.) Alexandra Jaspar

Directeur van het Kenniscentrum